WordPress ist inzwischen für viele Websites die technische Basis. Von der Website über Blogs bis hin zu umfangreichen Onlineshops mit WooCommerce. Das ist wenig überraschend, denn die Stärke von WordPress liegt in seiner Flexibilität. Die Funktionen vom CMS lassen sich mit Themes und Plugins schnell erweitern. Inhalte lassen sich unkompliziert pflegen und selbst Shops können mit der WooCommerce Erweiterung in kürzester Zeit aufgebaut werden.
—
Kurzum WordPress ist richtig populär. Doch genau das macht das System auch zu einem besonders interessanten Ziel für Angreifer. Wer eine bekannte Schwachstelle in WordPress, einem beliebten Plugin oder einem weit verbreiteten Theme ausnutzen kann, erreicht damit potenziell sehr viele Websites.
Deshalb gilt heute mehr denn je: Eine WordPress-Website ist nach dem Go-live nicht fertig. Sie muss regelmäßig gepflegt, aktualisiert und abgesichert werden. Updates aufzuschieben kann ernsthafte Konsequenzen nach sich ziehen.
Aktuell: Kritische Sicherheitslücken im WordPress-Core
Wie schnell es gehen kann, zeigte zuletzt die unter dem Namen „wp2shell“ bekannt gewordene Angriffskette. Sie betraf Schwachstellen im WordPress-Core und konnte unter bestimmten Voraussetzungen dazu führen, dass Angreifer ohne vorherige Anmeldung Schadcode auf einer Website ausführen. Betroffen waren unter anderem WordPress-Versionen vor 6.8.6, 6.9.5 und 7.0.2.
Für die Sicherheitslücken wurden Updates bereitgestellt. Entscheidend ist aber nicht, dass ein Update verfügbar ist, sondern dass es auch installiert wurde. Gerade bei kritischen Sicherheitslücken können automatisierte Angriffe sehr schnell nach Bekanntwerden starten. Mehr Hintergründe zum Vorfall bei Security-Insider
Die klare Konsequenz: Wer WordPress, Plugins und Themes über Monate nicht aktualisiert, lässt bekannte Angriffspunkte unnötig offen. Das kann zu manipulierten Seiten, Spamversand, Schadcode, Ausfällen, gestohlenen Daten oder im schlimmsten Fall zum vollständigen Verlust der Kontrolle über die Website führen.
Updates sind keine Option, sondern Pflicht.
Updates schließen nicht nur Fehler oder liefern neue Funktionen. Sehr oft beheben sie Sicherheitslücken. Das betrifft den WordPress-Core ebenso wie Plugins und Themes.
Besonders bei Plugins entsteht schnell ein Risiko. Ein altes Kontaktformular, ein nicht mehr genutzter Page Builder, ein veraltetes WooCommerce-Add-on oder ein lange nicht gepflegtes Statistik-Plugin kann genügen, um eine ansonsten aktuelle Website angreifbar zu machen.
Mit dem WordPress Toolkit in den ESTUGO-Webhosting-Tarifen lassen sich WordPress-Installationen, Plugins, Themes und Updates zentral verwalten. Das ist besonders hilfreich, wenn mehrere WordPress-Seiten betreut werden oder die Website nicht täglich im Fokus steht. Statt sich durch einzelne Logins zu arbeiten, bleibt der Wartungsstatus übersichtlich. Außerdem kann das WordPress-Toolkit automatisch Updates einspielen und die eigenen Seite auf bekannte Sicherheitslücken überprüfen, sowie bei der Absicherung helfen.
Automatische Updates aktivieren – aber sinnvoll
Für viele WordPress-Websites sind automatische Updates die beste Grundlage. Vor allem Sicherheitsupdates für WordPress selbst, aktiv gepflegte Plugins und Themes sollten zeitnah eingespielt werden.
Bei einer klassischen Unternehmenswebsite ist das Risiko eines verpassten Sicherheitsupdates in der Regel deutlich größer als das Risiko, dass ein kleines Update Probleme verursacht. Bei komplexen WooCommerce-Shops, individuell entwickelten Funktionen oder vielen Schnittstellen sollte man größere Aktualisierungen dagegen kurz testen.
Ein sinnvoller Ablauf sieht so aus:
- Automatische Updates für WordPress und vertrauenswürdige Plugins aktivieren.
- Vor größeren Updates ein aktuelles Backup sicherstellen.
- Bei Shops und individuellen Websites umfangreiche Updates zuerst testen.
- Das getestete Update anschließend zeitnah produktiv einspielen.
ESTUGO unterstützt diesen Prozess mit dem WordPress Toolkit und täglichen automatisierten Backups. Backups ersetzen keine Updates – sie sind aber die wichtige Rückfallebene, falls nach einer Aktualisierung etwas geprüft oder wiederhergestellt werden muss.
Aufräumen: Deaktiviert ist nicht entfernt
Viele WordPress-Installationen sammeln sich über die Jahre an. Ein altes Theme, ein Test-Plugin, ein früher genutztes SEO-Tool oder eine Erweiterung für eine einmalige Aktion bleibt häufig einfach liegen.
Das sollte nicht zur Gewohnheit werden. Nicht benötigte Plugins und Themes sollten vollständig entfernt werden. Auch deaktivierte Erweiterungen befinden sich weiterhin auf dem Webspace und können Sicherheitslücken enthalten.
Es lohnt sich deshalb, regelmäßig aufzuräumen:
- Welche Plugins werden wirklich noch gebraucht?
- Werden alle installierten Plugins und Themes noch gepflegt?
- Gibt es Erweiterungen, die seit langer Zeit keine Updates mehr erhalten haben?
- Laufen alle eingesetzten Plugins mit einer aktuellen PHP-Version?
- Gibt es Themes, die nur als Test installiert wurden?
Wenn ein Plugin nur mit einer alten PHP-Version funktioniert, ist das ein Warnsignal. Besser ist es, eine gepflegte Alternative zu finden oder die Funktion anders umzusetzen. Eine aktuelle PHP-Version verbessert nicht nur Sicherheit und Kompatibilität, sondern in vielen Fällen auch die Geschwindigkeit der Website.
Für die Performance bietet ESTUGO mit AccelerateWP von CloudLinux eine zusätzliche Lösung. Sie unterstützt WordPress-Websites unter anderem mit Caching, Asset-Optimierung und Performance-Empfehlungen. AccelerateWP ist kein Sicherheitsplugin – aber aktuelle Software, gute Performance und eine gepflegte Installation gehören zu einem professionellen WordPress-Betrieb zusammen.
Diese Maßnahmen erhöhen die WordPress-Sicherheit direkt
Updates sind der wichtigste Baustein, reichen aber allein nicht aus. Die folgenden Maßnahmen lassen sich bei fast jeder WordPress-Website ohne großen Aufwand umsetzen:
- Zwei-Faktor-Authentifizierung aktivieren: Besonders für Administratorkonten sollte 2FA selbstverständlich sein. Das kostenlose Plugin Two-Factor aus dem offiziellen WordPress-Verzeichnis ist eine schlanke Lösung. Wer Wordfence nutzt, kann die Zwei-Faktor-Authentifizierung auch über dessen Login-Security-Funktionen einrichten.
- Einzigartige, starke Passwörter verwenden: WordPress-, E-Mail- und Hosting-Zugang dürfen niemals dasselbe Passwort nutzen. Ein Passwortmanager hilft dabei, sichere Zugangsdaten zu erstellen und zu verwalten.
- Keine unnötig vorhersehbaren Admin-Konten verwenden: Ein Benutzername wie „admin“ sollte nicht verwendet werden. Wichtiger als ein anderer Name sind jedoch 2FA, ein starkes Passwort und getrennte Benutzerkonten für jede Person mit Zugriff.
- Benutzerrechte sparsam vergeben: Redakteure benötigen in der Regel keinen Administratorzugang. Rechte sollten immer nur in dem Umfang vergeben werden, der für die jeweilige Aufgabe notwendig ist.
- Login-Bereich schützen: Wordfence kann unter anderem vor Brute-Force-Angriffen schützen, verdächtige Loginversuche begrenzen, eine Firewall bereitstellen und Sicherheitsprüfungen unterstützen. Ein Sicherheitsplugin ist eine sinnvolle Ergänzung, ersetzt aber nie zeitnahe Updates.
- Regelmäßig kontrollieren: Unbekannte Administratoren, nicht benötigte Plugins, veraltete PHP-Versionen oder auffällige Änderungen sollten früh erkannt werden – nicht erst dann, wenn eine Website bereits Probleme macht.
Wenn Sie diese Punkte umsetzen, dann haben Sie die Sicherheit bereits erheblich verbessert. Dazu müssen Sie übrigens kein Techniker oder IT Freak sein. Wenn Sie hierzu Fragen haben oder Unterstützung benötigen, dann können Sie sich jederzeit an unser Support Team wenden.
WordPress bei ESTUGO 30 Tage kostenlos testen
Wer eine neue WordPress-Website, einen WooCommerce-Shop oder bestimmte Plugins und Themes in Ruhe ausprobieren möchte, kann das mit dem kostenlosen Demo-Hosting von ESTUGO tun.
Für 30 Tage stellt ESTUGO auf Wunsch eine WordPress-Installation bereit. So lassen sich WordPress, das WordPress Toolkit, WooCommerce, Themes oder Erweiterungen ohne Zeitdruck testen. Das eignet sich auch, um erste Inhalte anzulegen, Einstellungen vorzunehmen oder eine neue Website vorzubereiten.
Soll das Projekt nach der Testphase weiterlaufen, kann das Demo-Hosting übernommen werden. Die im Test angelegten Inhalte, Einstellungen und Anpassungen bleiben erhalten. Es ist also kein Neustart und kein zusätzlicher Umzug nötig.
Neben dem WordPress Toolkit bietet ESTUGO in seinen Webhosting-Tarifen tägliche automatisierte Backups, Sicherheitsfunktionen wie Imunify360, AccelerateWP für die WordPress-Performance und persönlichen Support direkt durch das Adminteam. Mehr dazu gibt es bei den ESTUGO-Webhosting-Tarifen.
WordPress-Sicherheit braucht eine feste Routine
WordPress sicher zu betreiben, ist kein Hexenwerk. Automatische Updates, aktuelle PHP-Versionen, aufgeräumte Plugins und Themes, regelmäßige Backups, Zwei-Faktor-Authentifizierung und ein geschützter Login machen bereits einen großen Unterschied.
Was heute nicht mehr funktioniert, ist die Haltung: „Die Website läuft doch noch.“ Eine Website kann technisch erreichbar sein und trotzdem seit Wochen oder Monaten ein unnötiges Sicherheitsrisiko darstellen.
Wer Updates dauerhaft verschiebt, erhöht die Wahrscheinlichkeit für Ausfälle, Bereinigungsaufwand, Kosten und Vertrauensverlust. Die bessere Lösung ist eine feste Routine. Außerdem hilft ein Hosting-Partner, der dafür die passenden Werkzeuge und persönlichen Support bietet. ESTUGO schafft mit dem WordPress Toolkit, Backups, Sicherheitsfunktionen und dem kostenlosen Demo-Hosting die technische Grundlage dafür.
